Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website

Komunitas pengembang inti PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Angka tersebut menunjukkan tingkat risiko yang sangat serius. Berbeda dari masalah pada plugin tertentu, kelemahan ini berada dalam mesin pemrosesan PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena kelemahan berada pada lapisan pemrosesan PHP. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.

Penjelasan Teknis Kerentanan Kritis pada Runtime PHP

Kerentanan pertama terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.

Sementara itu, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini termasuk permasalahan stale state pada runtime. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Dua masalah keamanan tersebut muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap merupakan prioritas untuk mengurangi ancaman.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Untuk pengelola website berbasis WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, akses panel administrasi situs. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Dalam tab Informasi, buka informasi Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, administrator harus menghubungi penyedia hosting. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.

Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Dalam penggunaan VPS atau dedicated server, administrator dapat memeriksa konfigurasi runtime. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.

Risiko Serangan Siber akibat Dua Celah Keamanan PHP

Ancaman terbesar yang perlu diperhatikan adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, dampaknya dapat memengaruhi operasional karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.

Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Sistem Laravel serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Selain itu, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Karena itu, administrator perlu menangani masalah pada tingkat server.

Langkah Mendesak Mengamankan Website dari Celah PHP

Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. Cadangan tersebut membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai server berhasil menggunakan versi aman. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.

Rangkuman Ancaman PHP dan Langkah Perlindungan Website

Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.